220 milljónir farþegaupplýsinga láku úr gagnagrunni tengdum Víetnam

Rangt stilltur Elasticsearch-gagnagrunnur með upplýsingum um yfir 220 milljónir flugfarþega og áhafnarmeðlima, þar á meðal vegabréfanúmer, þjóðerni og nákvæmar ferðaáætlanir, var aðgengilegur á opnu neti í ótilgreindan tíma áður en honum var lokað í júní, að því er öryggissérfræðingar greindu frá í vikunni.

Kinryū Labs fann opna gagnagrunninn, sem bar heitið „pax-info“, þann 3. júní við rannsóknir á lausnarhugbúnaði, samkvæmt einkaskýrslu BleepingComputer. Gagnagrunnurinn innihélt 29 vísitölur og um 107 GB af gögnum frá janúar 2017 til apríl 2026, sem komu úr kerfi sem flugfélög nota til að senda upplýsingar til landamærayfirvalda fyrir brottför.securityaffairs+1

Hvað lak út

Í tveimur helstu vísitölunum voru 210.318.069 farþegaskrár og 10.465.631 áhafnarskrá, samtals 220.783.700 færslur. Meðal gagna sem láku voru nöfn, fæðingardagar, kyn, þjóðerni, vegabréfanúmer með gildistíma, flugnúmer og dagsetningar, flugfélög, brottfarar- og tengiflugvellir, sætisnúmer, farangursupplýsingar og áætlaðir flugtímar.thecyberexpress+1

Sýnishorn af gögnum sem BleepingComputer skoðaði innihéldu ferðamenn frá Kóreu, Kína, Kanada og Nýja-Sjálandi, auk annarra, og náðu yfir flugfélög í Asíu, Kyrrahafi, Evrópu og Mið-Austurlöndum. Tölurnar endurspegla ferðaskrár, ekki einstaka einstaklinga, svo tíðir flugfarþegar geta birst mörgum sinnum.bleepingcomputer+1

Keðja af mistökum

Gagnagrunnurinn var hýstur á IP-sviði sem úthlutað er víetnamska fjarskiptafyrirtækinu Viettel í Hanoi, þótt sérfræðingar gætu ekki staðfest hvaða stofnun rak hann. Bein tenging skilaði 401-villu, sem gaf til kynna að kerfið væri læst, en skýjatengd leið inn í sama kerfi samþykkti sjálfgefin aðgangsorð.thecyberexpress+2

Netgreiningarvettvangurinn FOFA skráði hýsinguna fyrst í október 2022 og auðkenndi hana sem gagnagrunn í júlí 2023, þótt óljóst sé hversu lengi hann var opinn. Kinryū Labs tilkynnti víetnömskum yfirvöldum, flugfélögum og öryggisteymum um málið þann 3. júní og gagnagrunnurinn var lokaður 8. júní. Singapore Airlines aðstoðaði við viðbrögðin og upplýsti rannsakendur um að fyrirtækið hefði gripið til aðgerða til að takmarka vandamálið, samkvæmt tölvupósti sem BleepingComputer hefur yfirfarið.bleepingcomputer

Ósvaraðar spurningar

Rannsakendur fundu engar kröfur um lausnargjald eða merki um að gögnum hefði verið breytt, en án aðgangs að netþjónaskrám gátu þeir ekki ákvarðað hvort einhver hefði afritað gögnin á meðan kerfið var aðgengilegt. Þessi greinarmunur hefur lagalega þýðingu: Persónuverndarlög Víetnams, sem tóku gildi 1. janúar 2026, krefjast tilkynningar innan 72 klukkustunda frá því að brot uppgötvast og heimila sektir allt að 5 prósent af tekjum fyrra árs vegna brota á gagnaflutningum milli landa. Þar sem gögnin ná yfir alþjóðlegt flug er nánast öruggt að íbúar ESB og Bretlands séu meðal þeirra sem eiga gögn í grunninum, sem gæti einnig kallað á GDPR-regluverkið.securityaffairs+2